情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問19
問題文
インターネットと社内サーバの間にファイアウォールが設置されている環境で、時刻同期の通信プロトコルを用いて社内サーバがもつ時計をインターネット上の時刻サーバの正確な時刻に同期させる。このとき、ファイアウォールで許可すべき時刻サーバとの間の通信プロトコルはどれか。
選択肢
ア：FTP（TCP、ポート番号21）
イ：NTP（UDP、ポート番号123）（正解）
ウ：SMTP（TCP、ポート番号25）
エ：SNMP（TCP及びUDP、ポート番号161及び162）
🔒 解説は解答すると表示されます
時刻同期プロトコル【情報セキュリティマネジメント解説】
正解の理由
社内サーバの時計をインターネット上の時刻サーバと合わせるために使うプロトコルは、NTP（Network Time Protocol：時刻同期プロトコル）です。試験の選択肢では イ の NTP（UDP、ポート番号123）が該当します。NTPは時刻情報を送受信するために設計されたプロトコルで、通常はUDP（User Datagram Protocol：コネクションレスで軽量な通信方式）を用い、ポート番号123を使います。したがって、ファイアウォールで時刻同期を許可するにはUDP/123を許可すればよい、という点で イ が正解です。
解法ステップ
- 問題の目的を確認：社内サーバの「時刻同期」を行うための通信を許可する必要がある。
- 「時刻同期」に使われる代表的なプロトコルを思い出す：NTP（Network Time Protocol）。
- NTPの通信の特性を確認：通常はUDPを使い、ポート番号は123。
- 選択肢と照合：UDP/123に該当するのは イ のみ。よって イ を選ぶ。
選択肢別の誤答解説
- ア: FTP（File Transfer Protocol：ファイル転送用のプロトコル）。通常はTCP（Transmission Control Protocol：接続型で信頼性の高い通信方式）のポート21を使う。時刻同期には使わないので誤り。
- イ: NTP（Network Time Protocol：時刻同期プロトコル）。UDP、ポート123を使用するため正解。
- ウ: SMTP（Simple Mail Transfer Protocol：電子メール送信用のプロトコル）。通常はTCPのポート25を使用する。メール送信向けで時刻同期とは無関係。
- エ: SNMP（Simple Network Management Protocol：機器監視・管理用プロトコル）。通常はUDPのポート161（要求）/162（トラップ）を使う。選択肢に「TCP及びUDP」とあるが、時刻同期用ではないので誤り。
よくある誤解
- NTPは信頼性が低いからTCPを使うべき、と思う誤解：NTPは短いリクエスト／レスポンスを高速にやり取りする用途でUDPが適しているためUDPを使います。信頼性確保はプロトコル側や複数ソースで補います。
- 「UDP/123を全開放すればよい」と考える誤解：外向きに限定したり、許可する宛先IPを絞るなど最小権限で設定すべきです。NTPを悪用した反射／増幅攻撃のリスクがあります。
- SNTP（Simple NTP）と混同する誤解：SNTPはNTPの簡易版で同じくUDP/123を使うことが多いが、基本はNTP系の通信と理解してください。
補足コラム
- 職場での運用イメージ：多くの組織では各端末が直接インターネットの時刻サーバに問い合わせる代わりに、社内に「内部NTPサーバ（社内時刻サーバ）」を置きます。内部サーバだけが外部の信頼できる時刻サーバとNTPで同期し、社内端末はその内部サーバと同期する形にすると、ファイアウォールの設定やセキュリティ管理が楽になります。
- 実務的な注意点：外部NTPと同期するときは、許可する送受信をUDP/123に限定し、可能なら時刻サーバのIPアドレスを限定します。NTPの認証（鍵による検証）や、OS標準のntpd/chrony（Linuxの時刻同期ソフト）・Windows Time Serviceの設定も検討してください。NTPの古い認証方式（Autokey）は現在推奨されないことがあります。
FAQ
Q1. なぜNTPはUDPを使うのですか？
A1. NTPは短いパケットで多数のサーバと高速にやり取りするため、接続確立のオーバーヘッドが小さいUDPが適しています。必要な精度や信頼性はプロトコル設計や追跡／冗長化で補います。
A1. NTPは短いパケットで多数のサーバと高速にやり取りするため、接続確立のオーバーヘッドが小さいUDPが適しています。必要な精度や信頼性はプロトコル設計や追跡／冗長化で補います。
Q2. ファイアウォールでどう設定すれば安全ですか？
A2. 原則は「最小権限」。外向きのUDP/123を特定の信頼できる時刻サーバのみ許可、内部NTPサーバを設置して外部アクセスを集中させる、レスポンスのみ許可するステートフル設定などが有効です。
A2. 原則は「最小権限」。外向きのUDP/123を特定の信頼できる時刻サーバのみ許可、内部NTPサーバを設置して外部アクセスを集中させる、レスポンスのみ許可するステートフル設定などが有効です。
Q3. NTPのセキュリティリスクは？
A3. NTPを使った反射増幅攻撃や、改ざん・なりすましで誤った時刻を与えるリスクがあります。外部アクセスの制限やNTP認証、ソフトウェアの更新で対策します。
A3. NTPを使った反射増幅攻撃や、改ざん・なりすましで誤った時刻を与えるリスクがあります。外部アクセスの制限やNTP認証、ソフトウェアの更新で対策します。
関連キーワード: NTP、UDP、時刻同期、ポート123、ファイアウォール設定、chrony、ntpd、SNTP、NTP認証、反射増幅攻撃
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！